無線網路明明頻寬足夠，速度卻莫名變慢？極可能被鄰居或路人「蹭網」。單靠設定複雜密碼已不夠，駭客可用字典攻擊、WPS PIN 破解、攔截握手包離線跑密碼。本文提供五步進階防護，從路由器底層機制封鎖未授權裝置。

前置作業：登入路由器管理介面

1. 電腦連接路由器 (有線/無線皆可)。
2. 瀏覽器輸入閘道 IP (常見 192.168.1.1、192.168.0.1、192.168.11.1)，查看底部標籤或 ipconfig 確認。
3. 輸入管理員帳密 (預設 admin/admin、admin/1234、留空/admin，請立即修改)。

步驟一：修改管理員密碼並關閉遠端管理

• 系統管理 → 管理員密碼：設定 12 字元以上、大小寫數字符號混合。
• 遠端管理 / Web 存取：停用 (預防外網暴力破解管理介面)。
• 

步驟二：關閉 DHCP 伺服器，改用靜態 IP 分派

• LAN 設定 → DHCP 伺服器：關閉。
• 每台授權裝置手動設定固定 IP (例：192.168.11.100–192.168.11.110)，閘道指向路由器新 IP。
• 效果：蹭網者連上 Wi-Fi 也無法自動取得 IP、不知閘道位址，無法上網。
• 

步驟三：修改路由器 LAN IP 為非預設網段

• LAN 設定 → IP 位址：從 192.168.1.1 改為 192.168.11.110 (或任意私有網段 10.x.x.x/172.16-31.x.x)。
• 子網路遮罩維持 255.255.255.0。
• 儲存後需重新以新 IP 登入管理介面，授權裝置同步修改閘道 IP。
• 效果：自動掃描工具常只掃預設網段，增加攻擊者偵察成本。
• 

步驟四：啟用 IP-MAC 綁定 + ARP 映射表 (核心防護)

1. 進入「IP 與 MAC 綁定」/「ARP 映射表」/「靜態 ARP」。
2. 查看目前已連線裝置清單，記下所有授權裝置的 MAC 位址 (手機、筆電、智慧電視、印表機…)。
3. 在「上網控制」/「存取控制」/「MAC 過濾」中：
   模式選「白名單」/「僅允許清單內裝置通過」 → 逐一加入授權 MAC → 啟用。
4. 進階防火牆/安全設定：勾選 「不符合上網控制規則的封包，禁止通過本路由器」 (拒絕預設)。
5. 

💡 原理：即使蹭網者破解 Wi-Fi 密碼、猜中靜態 IP 範圍、知道閘道 IP，其 MAC 不在白名單，路由器直接丟棄封包，徹底斷網。

步驟五：無線加密與進階無線設定

• 加密方式：WPA2-PSK (AES) 或 WPA3-SAE (支援裝置優先) —— 絕不可用 WEP/WPA-TKIP/WPS。
• Wi-Fi 密碼：20+ 字元隨機字串 (密碼管理器產生)，避免字典攻擊。
• 關閉 WPS (Wi-Fi Protected Setup)：PIN 碼極易暴力破解 (11000 次嘗試即可破解)。
• 隱藏 SSID (選項)：不廣播網路名稱，需手動輸入 SSID 連線，增加偵察難度 (但無法防禦專業掃描工具)。
• 降低發射功率：若僅需室內覆蓋，將發射功率調至 50% 或「低」，減少訊號外洩。
• 啟用 5GHz/6GHz 頻段：穿牆較弱、干擾少、蹭網者裝置較少支援，天然屏障。

額外加強：定期稽核與監控

• 每月登入路由器查看「用戶端清單」/「DHCP 租約表」，確認無陌生 MAC。
• 啟用路由器「系統日誌」/「安全日誌」，記錄連線/斷線/攻擊事件。
• 支援的路由器可安裝 OpenWrt / DD-WRT / Merlin 第三方韌體，獲得更強大的防火牆、VLAN 隔離、流量監控、VPN 伺服器等功能。

常見迷思澄清

迷思	真相
「設定複雜密碼就萬無一失」	WPA2 四向交握可被離線暴力破解，弱密碼幾小時可破；需配合 MAC 白名單。
「MAC 位址可偽裝，綁定無用」	偽裝 MAC 需先知道白名單 MAC，且需破解 Wi-Fi 密碼才能連線嘗試；雙重門檻大幅提高攻擊成本。
「隱藏 SSID 最安全」	隱藏 SSID 反而導致裝置主動廣播探測封包，洩露 SSID；專業工具仍可偵測。建議「不隱藏 + 強密碼 + MAC 白名單」。
「關閉 DHCP 會讓手機連不上」	手機支援靜態 IP 設定 (Wi-Fi 設定 → IP 設定 → 靜態)，一次設定永久有效。

完成五步設定，您的無線網路將具備「強加密、非預設網段、無 DHCP、MAC 白名單、拒絕預設」五重防護，蹭網者即便破解密碼也無法取得 IP、無法通過閘道、封包被直接丟棄。定期稽核日誌，即可長期享有專屬頻寬。